Ní aistriú amháin é IKEv2: IKE SA, fíordheimhniú, ansin CHILD SA
Ní chruthaíonn freagra an gheata ach inrochtaineacht, ní céannacht. Lean IKE_SA_INIT, IKE_AUTH agus an chéad CHILD SA, ansin seiceáil cad a chaithfidh a bheith fíor sula dtagann an trácht.
B'fhéidir go gceapann tú gur aistriú amháin é nasc IKEv2 a chríochnaíonn le do thrácht a bheith criptithe. Dhá aistriú ar a laghad atá ann, agus ní dhéanann an chéad cheann fíordheimhniú ar aon duine. Tosaíonn na piaraí le teachtaireachtaí rialaithe, aontaíonn siad ar pharaiméadair chripteagrafacha, cruthaíonn siad céannacht, agus ní dhéanann siad idirbheartaíocht ach ansin ar an staid a iompraíonn paicéid na bhfeidhmchlár. Míníonn an t-ord sin an neamhréir a thuairiscíonn daoine i gcónaí: freagraíonn an geata, deir an cliant go bhfuil sé ceangailte, agus téann am an fheidhmchláir phríobháidigh in éag fós. Seo a dhéanann gach céim i ndáiríre, agus cad a chaithfidh a bheith fíor ina diaidh.
An miotas: má fhreagraíonn an geata, tá tú ceangailte
Cruthaíonn freagra ar an gcéad teachtaireacht go bhfuil an críochphointe inrochtana agus sásta labhairt. Ní chruthaíonn sé gur glacadh le cuntas, gur bailíochtaíodh slabhra teastais, ná gur suiteáladh aon pholasaí sonraí.
Tarlaíonn na teipeanna sin níos déanaí, agus tá comharthaí difriúla acu. Tagann diúltú teastais nó teip EAP tar éis an chéad aistriú a bheith rathúil cheana, agus is é sin an fáth nach n-insíonn ping chuig UDP 500 agus deilbhín glas an chliaint mórán duit.
IKE_SA_INIT: aontaigh ar pharaiméadair, ní ar chéannacht
Iompraíonn an chéad aistriú na tograí don chomhlachas slándála IKE: halgartaim chriptithe agus sláine, feidhm shíothranda, agus grúpa Diffie-Hellman. Malartaíonn na piaraí nonces freisin, agus díorthaíonn gach taobh ábhar eochrach don IKE SA ón rún comhroinnte a tháirgeann na luachanna sin. Ní shocraíonn aon rud san aistriú seo cé atá sa pháirtí eile. Socraíonn sé gur féidir leis an dá thaobh na heochracha céanna a ríomh agus go n-aontaíonn siad ar thogra. Diúltaíonn freagróir nach dtaitníonn aon togra leis don aistriú anseo, agus is é sin an fáth a bhfearann neamhréir leagan nó halgairim mar fhreastalaí atá síos.
Cosnaíonn an IKE SA a chruthaítear ag an bpointe seo gach aistriú bainistíochta níos déanaí. Sin a chuid oibre, agus is obair dhifriúil é ná do phaicéid a chosaint.
IKE_AUTH: cruthaigh céannacht, ansin tóg an chéad CHILD SA
Iompraíonn an dara haistriú céannacht. Le teastais, síníonn gach piara lena eochair phríobháideach agus cuireann sé slabhra i láthair a chaithfidh an taobh eile a bhailíochtú; le EAP, tugann an freagróir dúshlán don tionscnóir tríd an modh roghnaithe. Seo an áit a dtagann ainm freastalaí mícheart, teastas as feidhm nó focal faire diúltaithe chun solais sa deireadh.
Sa ghnáthchás idirbheartaíonn IKE_AUTH an chéad CHILD SA freisin, mar sin aontaítear ar chosaint sonraí sa turas céanna. Molann an tionscnóir roghnóirí tráchta, cúngaíonn nó diúltaíonn an freagróir iad, agus díorthaítear eochracha an chosáin sonraí ón IKE SA. Ciallaíonn sé sin gur féidir le haistriú amháin teip i dhá áit an-difriúil: céannacht nó polasaí. Léigh an t-ualach fógra nó an earráid seachas teip ghinearálta na hidirbheartaíochta, mar is teastas réiteach an chinn amháin agus neamhréir fo-líonra an chinn eile.
Dhá SA, dhá jab
| Comhlachas | Cosnaíonn | Iompar saoil |
|---|---|---|
| IKE SA | Aistrithe bainistíochta: ath-eochracha, scriosadh, ualaí cumraíochta | Ath-eochraítear ar a sceideal féin; féadann an cosán sonraí maireachtáil tríd an athrú |
| CHILD SA | Trácht feidhmchláir a mheaitseálann na roghnóirí tráchta | Ath-eochraítear go neamhspleách é, go minic níos minice |
Míníonn coinneáil óna chéile dhá iompar a bhféachann cosúil le fabhtanna. Féadann tollán a bheith le feiceáil mar shuiteáilte agus ath-eochraí ag teip sa chúlra, agus féadann CHILD SA a bheith athshuiteáilte gan an cliant an nasc a chailleadh.
Ar strongSwan, tagartha cumraíochta IKEv2 agus swanctl --list-sas taispeánann siad an dá leibhéal, agus ip xfrm state móide ip xfrm policy taispeánann siad cad a shuiteáil an t-eithne i ndáiríre. Is é comparáid an dá radharc an bealach is tapúla le feiceáil ar chríochnaigh an idirbheartaíocht nó nár thaispeáin sí ach críochnaithe. Má liostaíonn an daemon CHILD SA nach bhfuil aon staid ag an eithne ina leith, theip an suiteáil go ciúin. Má tá staid ag an eithne nach bhfuil ar eolas ag an daemon, tá iarsma ó iarracht níos luaithe á féachaint agat.
Cad a chaithfidh a bheith fíor fós tar éis an tollán a bheith suas
Sainmhíníonn roghnóirí tráchta cé na seoltaí atá clúdaithe. Má mholann an cliant fo-líonra amháin agus má tá fo-líonra eile ag teastáil ón bhfreastalaí, suiteáiltear an CHILD SA ach ní iompraíonn sé aon rud úsáideach, agus tagann an earráid chun solais mar fhadhb ródaithe seachas mar fhadhb idirbheartaíochta. Ansin caithfidh an stoc áitiúil comhoibriú: seoladh ar aghaidh cumasaithe san áit a ródaíonn an t-óstach, róid sa treo an tolláin, rialacha balla dóiteáin a cheadaíonn na paicéid dhí-chochallaithe, agus réiteoir inmheánach má tá ainmneacha príobháideacha i gceist. Teipeann gach ceann acu ar leithligh agus ní dheisítear aon cheann acu trí dhaemon IKE a atosú.
Coinnigh an loga le feiceáil agus tú ag diagnóisiú: an chéad aistriú, ansin bailíochtú céannachta, ansin fíordheimhniú úsáideora nuair is infheidhme, ansin suiteáil CHILD, agus ar deireadh trácht an fheidhmchláir. Is í an chéim a stopann an chéim atá le deisiú, agus ní fáth riamh é teip ródaithe níos déanaí chun na seiceálacha céannachta a d'éirigh cheana a scaoileadh.